ஆந்த்ரோபிக் அதன் வெளியிடப்படாத உள் மாதிரிகளில் ஒன்று, உலகின் மிகவும் பரவலாகப் பயன்படுத்தப்படும் சில மென்பொருள்களில் தீவிரமான பாதுகாப்புக் குறைபாடுகளைக் கண்டறிந்து எவ்வாறு பயன்படுத்தியது என்பதை விவரிக்கும் ஆராய்ச்சியை வெளியிட்டுள்ளது - Google Chrome இல் உள்ள 62 பேட்ச் பாதிப்புகள் மற்றும் பயனர் தொடர்பு இல்லாத Linux சேவையகங்களில் ரூட் அணுகலைப் பெறும் வேலைச் சுரண்டல் உட்பட.
"Claude உடன் முக்கியமான, நிஜ-உலக மென்பொருளில் உள்ள பாதிப்புகளைக் கண்டறிதல் மற்றும் சுரண்டுதல்" என்ற தலைப்பில் ஒரு நிறுவனத்தின் ஆராய்ச்சி இடுகையில் வெளியிடப்பட்ட கண்டுபிடிப்புகள், Chrome, Safari, Android, Windows மற்றும் Linux கர்னல் ஆகிய ஐந்து தனித்தனி தாக்குதல் சங்கிலிகளை விவரிக்கின்றன. ஆந்த்ரோபிக் கருத்துப்படி, கடந்த சில மாதங்களாக வெளியிடப்படாத, உள் ஆராய்ச்சி மாதிரியால் இந்த பணி மேற்கொள்ளப்பட்டது, ஒவ்வொரு சங்கிலியும் தொலைநிலை குறியீடு செயல்படுத்தல் அல்லது பிற முக்கியமான தாக்கங்களுக்கு வழிவகுத்தது. மென்பொருள் பாதுகாப்புக்கு என்ன அர்த்தம் என்பதை AI தொழில்துறை ஜீரணிக்கும்போது, AI Buzz Wire சமீபத்திய AI வளர்ச்சிகள் அவை வெளிவரும்போது தொடர்ந்து கண்காணிக்கிறது.
Anthropic இன் விதிமுறைகளின் மீது ஒருங்கிணைந்த வெளிப்பாடு
பாதிக்கப்பட்ட விற்பனையாளருக்கு ஒரு ஒருங்கிணைந்த பாதிப்பு வெளிப்படுத்தல் கொள்கையின் கீழ் ஒவ்வொரு பாதிப்பையும் தெரிவித்ததாக ஆந்த்ரோபிக் கூறுகிறது, இது டெவலப்பர்களுக்கு பேட்ச் செய்ய 90 நாட்கள் மற்றும் மேலும் 45 நாட்களுக்கு முன்பு நிறுவனம் ஏற்கனவே ஒரு பொது ஆலோசனையில் சேர்க்கப்பட்டுள்ளதைத் தாண்டி விவரங்களை விவாதிக்கிறது. அந்த ஃப்ரேமிங் முக்கியமானது: பயிற்சியின் நோக்கம், வேலை செய்யும் ஆயுதங்களை காட்டுக்குள் விடுவது அல்ல, மாறாக - சரிபார்க்கக்கூடிய ஆதாரம்-ஆஃப்-கான்செப்ட் சுரண்டல்களுடன் - முன்பு சிறிய, மிகவும் சிறப்பு வாய்ந்த குழுக்களின் களமாக இருந்த எல்லை மாதிரிகள் இப்போது பாதுகாப்பு ஆராய்ச்சியைச் செய்ய முடியும் என்பதை நிரூபிப்பதாகும்.
"சம்பந்தப்பட்ட திறன்கள் வரலாற்று ரீதியாக ஒரு சில சிறப்புக் குழுக்களின் களமாக உள்ளன," என்று ஆந்த்ரோபிக் ஆராய்ச்சியாளர்கள் எழுதினர், மாடல்கள் இப்போது பல பாதிப்புகளை சிறிய மனித ஈடுபாட்டுடன் வேலை செய்யும் சுரண்டலுடன் இணைக்க முடியும், பின்னர் எவரும் இயங்கி சரிபார்க்கக்கூடிய ஒரு சுரண்டலை உருவாக்குவதன் மூலம் அதை நிரூபிக்க முடியும். இந்த இடுகையை நிக்கோலஸ் கார்லினி, டேவிட் டிவர்கன், சின்யாங் ஜி, பென் மோரிஸ், மிலாட் நாஸ்ர், கிறிஸ் ரோல்ஃப் மற்றும் லூனா டோங் ஆகியோர் எழுதியுள்ளனர்.
குரோம்: 62 CVEகள், 13 சாண்ட்பாக்ஸ் எஸ்கேப்கள்
மிகவும் விரிவான முடிவுகள் Google இன் உலாவியில் இருந்து வந்தன. ஆரம்பத் தூண்டுதலுக்குப் பிறகு, ஆந்த்ரோபிக்கின் மாதிரியானது, Chrome இன் சாண்ட்பாக்ஸிற்கு வெளியே தன்னிச்சையான குறியீட்டைச் செயல்படுத்தும் ஒரு முழு சுரண்டல் சங்கிலியை எழுதியது, இயல்புநிலை-கட்டமைவு macOS இயந்திரம் - ப்ரூஃப்-ஆஃப்-கான்செப்ட், பக்கம் ஏற்றப்பட்ட சில நொடிகளில் கால்குலேட்டர் பயன்பாட்டைத் தொடங்கும், மேலும் பயனர் தொடர்பு இல்லாமல்.
சங்கிலி நான்கு வித்தியாசமான பாதிப்புகளை கடந்து சென்றது: V8 ஜாவாஸ்கிரிப்ட் எஞ்சினில் ஒரு குவியல் ஊழல் பிழை, V8 இன் மெமரி சாண்ட்பாக்ஸில் இருந்து வெளியேறி, ASLR ஐ ரிட்டர்ன்-ஓரியெண்டட் புரோகிராமிங் செயினைப் பயன்படுத்தி தோற்கடிக்கும் இரண்டாவது பிழை, CacheStorage இல் ஒரு ரேஸ் நிலை, சலுகை பெற்ற உலாவி செயல்முறையின் நினைவகத்தை வரைபடமாக்குவதற்குப் பயன்படுத்தப்பட்டது, மற்றும் இறுதியாக எஃப்.எஃப்.சி கையொப்பமிடப்பட்ட எஃப்.எஃப். சாண்ட்பாக்ஸில் இருந்து முற்றிலும் தப்பிக்க.
மொத்தத்தில், குரோம் 156 இன் படி 62 CVEகள் ஒதுக்கப்பட்டு இணைக்கப்பட்டதாக ஆந்த்ரோபிக் அறிக்கைகள் தெரிவிக்கின்றன, இவை அனைத்தும் முக்கியமான அல்லது அதிக தீவிரத்தன்மை என மதிப்பிடப்பட்டது, இதில் 13 சாண்ட்பாக்ஸ் எஸ்கேப்கள் மற்றும் 21 பாதிப்புகள் ரெண்டரர் செயல்முறையை சமரசம் செய்ய பயன்படுத்தப்பட்டிருக்கலாம்.
சஃபாரி, ஆண்ட்ராய்டு மற்றும் விண்டோஸ்
சஃபாரி சங்கிலி, அன்றாடப் பயனர்களுக்கு மிகவும் கவலையளிக்கும் ஒன்றைச் சாதித்துள்ளது: ஒரே மூலக் கொள்கையின் முழுமையான புறக்கணிப்பு, ஒரு இணையதளத்தை மற்றொரு தளத்தின் தரவைப் படிக்கவிடாமல் தடுக்கும் அடிப்படை விதி. இந்த மாடல் JavaScriptCore இன்ஜினில் பயன்பாட்டிற்குப் பின்-இலவசம், WebKit இன் Gigacage நினைவக தனிமைப்படுத்தலில் இருந்து தப்பித்தல் மற்றும் WebContent சாண்ட்பாக்ஸின் IPC பொறிமுறையில் உள்ள குறைபாடு - தீங்கிழைக்கும் பக்கத்தை Safari வரலாறு மற்றும் குக்கீகளைப் படிக்க அனுமதிக்கிறது மற்றும் பிற டொமைன்களில் அங்கீகரிக்கப்பட்ட கோரிக்கைகளை நீக்குகிறது. ஆப்பிள், ஆந்த்ரோபிக் குறிப்புகள், அறிக்கை சமர்ப்பிக்கப்பட்ட அதே நாளில் ஒப்புக்கொண்டது மற்றும் உடனடியாக ஒரு தீர்வை செயல்படுத்தியது.
ஆண்ட்ராய்டில், இந்த மாதிரியானது சோர்ஸ்-கோட் பகுப்பாய்வு, கூகுள் ப்ளே சர்வீசஸ் பைனரிகளின் ரிவர்ஸ் இன்ஜினியரிங் மற்றும் இயற்பியல் கூகுள் பிக்சல் 9 இல் நேரடி சோதனை ஆகியவற்றை இணைத்து, யூ.எஸ்.பி வழியாக பூட்டிய ஃபோனிலிருந்து புகைப்படங்கள் மற்றும் தனிப்பட்ட தரவைப் பிரித்தெடுக்கும் ஒரு சுரண்டலை உருவாக்குகிறது - இணைத்தல் அங்கீகார ஓட்டம் மற்றும் ஆறு இலக்க குறியீடு சரிபார்ப்பு படி ஆகியவற்றைத் தவிர்த்து.
விண்டோஸ் கண்டறிதல் தொலைநிலை, அங்கீகரிக்கப்படாத செயலிழப்பு: விண்டோஸ் கர்னலின் QUIC செயலாக்கத்தில் படிக்கப்பட்ட வரம்புகளுக்கு அப்பாற்பட்டது, இப்போது CVE-2026-33096 எனக் கண்காணிக்கப்பட்டு மைக்ரோசாப்ட் மூலம் சரி செய்யப்பட்டது. பல மில்லியன் சர்வர்கள் HTTP/3 க்கு பதிலளிக்கின்றன மற்றும் சுரண்டலால் மீண்டும் மீண்டும் செயலிழந்திருக்கலாம் என்று ஆந்த்ரோபிக் மதிப்பிடுகிறது. குறிப்பிடத்தக்க வகையில், மாடல் தூய பைனரி பகுப்பாய்வு மூலம் பிழையை கண்டுபிடித்ததாக நிறுவனம் கூறுகிறது - பலவீனங்களுக்கான மறுகட்டமைக்கப்பட்ட குறியீட்டைப் படிக்கும் முன் கிட்ரா போன்ற கருவிகளைக் கொண்டு விண்டோஸ் இயங்கக்கூடிய தலைகீழ் பொறியியல்.
லினக்ஸ் கர்னல்: பூஜ்ஜிய கிளிக் ரூட்
ஐந்தாவது சங்கிலி என்பது பாதுகாப்பு குழுக்கள் தூக்கத்தை இழக்கக்கூடும். லினக்ஸ் கர்னலின் நெட்வொர்க்கிங் ஸ்டேக்கில், CVE-2026-98432 என கண்காணிக்கப்பட்டு, பந்தய நிபந்தனையால் தூண்டப்பட்ட பயன்பாட்டுக்குப் பின்-இலவசத்தை ஆந்த்ரோபிக்கின் மாதிரி கண்டறிந்தது, மேலும் மல்டிபாத் TCP (MPTCP) கேட்பவரை இயக்கும் எந்த சர்வருக்கும் நெட்வொர்க் பாக்கெட்டுகளை அனுப்பும் ஒரு சுரண்டலை உருவாக்கியது.
சுரண்டல் இரண்டு நிலைகளில் வேலை செய்கிறது: முதலில் அது KASLR ஐ தொலைதூரத்தில் தோற்கடிக்கிறது, பந்தயத்தைத் தவறாகப் பயன்படுத்துவதன் மூலம் மிகையான வாசிப்பைத் தூண்டுகிறது, இது ஒரு கெர்னல் சுட்டியைத் தாக்குபவர்களுக்கு மீண்டும் கசிந்துவிடும்; பின்னர் அது ஒரு கால்பேக் பாயிண்டரை மேலெழுத ஒரு இடையகத்தை நிரம்பி வழிகிறது, தாக்குபவர்-தேர்ந்தெடுக்கப்பட்ட ஷெல் கட்டளை ரூட்டாக இயங்கும் வரை ஏற்கனவே உள்ள கர்னல் செயல்பாடுகளை இணைக்கிறது. ஆந்த்ரோபிக்கின் கருத்தின் ஆதாரத்தில், ஒரு கர்னல் சுட்டிக்காட்டி கசிவு 48 நிமிடங்கள் எடுத்தது, தோராயமாக ஐந்து நிமிடங்கள் கழித்து ஷெல் அணுகல். ஒரு முக்கிய செயல்படுத்தும் சொத்து: பந்தயத்தை இழப்பது கணினியை செயலிழக்கச் செய்யாமல் கைகுலுக்கலில் தோல்வியடைகிறது, எனவே தாக்குபவர் காலவரையின்றி மீண்டும் முயற்சி செய்யலாம்.
பாதிப்பானது அப்ஸ்ட்ரீமில் இணைக்கப்பட்டு, பராமரிக்கப்படும் அனைத்து நிலையான கர்னல் கிளைகளுக்கும் பின்வாங்கப்பட்டது என்று ஆந்த்ரோபிக் கூறுகிறது. விநியோக வெளியீடுகள் பின்தங்கிவிட்டன, இருப்பினும் - இந்த வாரம் உபுண்டு மற்றும் Red Hat ஆகியவற்றில் நிலையான கர்னல் எதுவும் கிடைக்கவில்லை என்று இந்த வாரம் ஹேக்கர் நியூஸ் அறிவித்தது, மேலும் Go ப்ரோகிராம்கள் மல்டிபாத் TCP ஐ இயல்பாகவே செயல்படுத்தி, குறைபாடுகளை வெளிப்படுத்தும் என்று Go திட்டம் ஒரு ஆலோசனையை வழங்கியது.
தாக்குபவர்களுக்கு - மற்றும் பாதுகாவலர்களுக்கான புதிய அடிப்படை
தனிப்பட்ட பிழைகளுக்கு அப்பால், ஆந்த்ரோபிக்கின் இடுகை, அளவை சாத்தியமாக்கிய வழிமுறையை விவரிக்கிறது: அதிக எண்ணிக்கையிலான ஸ்கேனிங் ஏஜெண்டுகளை இணையாக இயங்கும் தளம், ஒவ்வொரு ஸ்கேனரும் எத்தனை கூடுதல் பாதிப்புகளுக்கு பங்களிக்கிறது மற்றும் ஒவ்வொரு உறுதிப்படுத்தப்பட்ட கண்டுபிடிப்புக்கும் தானியங்கு மாறுபாடு பகுப்பாய்வைப் பயன்படுத்துகிறது. நிறுவனம் இழுத்தல்-கோரிக்கை நேரத்தில் ஸ்கேன் செய்ய பரிந்துரைக்கிறது மற்றும் அந்த நோக்கத்திற்காக பொதுவில் கிளாட் கோட் பாதுகாப்பு செருகுநிரலை வெளியிட்டுள்ளது.
பாதுகாவலர்களுக்காக, ஆந்த்ரோபிக் அதன் சைபர் சரிபார்ப்புத் திட்டத்தை விரிவுபடுத்துகிறது, இது தகுதிவாய்ந்த பாதுகாப்பு வல்லுநர்களுக்கு மேம்பட்ட இணையத் திறன்கள் மற்றும் அதன் மிகவும் திறமையான மாடல்களான க்ளாட் ஓபஸ் 5.5, கிளாட் சோனட் 5.5 மற்றும் கிளாட் மித்தோஸ் 5.1 ஆகியவற்றுக்கான அணுகலை வழங்குகிறது. நிறுவனத்தின் ஆலோசனை அப்பட்டமாக உள்ளது: வேறொருவரின் மாதிரியை ஸ்கேன் செய்வதற்கு முன் உங்கள் சொந்த குறியீட்டை ஸ்கேன் செய்யவும்.
எபிசோட் AI மற்றும் சைபர் குற்றம் பற்றிய விவாதத்தில் ஒரு தெளிவான தரவு புள்ளியாகும். ஃபிரான்டியர் ஆய்வகங்கள், மாடல்கள் விரைவில் நிஜ-உலக பாதிப்புகளைக் கண்டுபிடித்து சங்கிலித் தொடரலாம் என்று வாதிட்டு இரண்டு வருடங்கள் செலவிட்டுள்ளன - இந்த வாரத்தில், குறைந்தபட்சம், வேலைச் சுரண்டல்களால் ஆதாரத்தின் சுமை சந்திக்கப்பட்டது.
AI பாதுகாப்பு ஆராய்ச்சி, மாதிரி வெளியீடுகள் மற்றும் கொள்கையின் தொடர்ச்சியான கவரேஜுக்கு, AI Buzz Wire ஐப் பின்பற்றவும்.
